4.2 Maintenir le PCA en conditions opérationnelles

Un PCA est un dispositif dynamique par essence — il doit suivre l'évolution constante de l'organisation. Sans MCO continu :

• Les contacts deviennent obsolètes : les personnes changent de fonction, partent en mobilité, démissionnent.
• Les applications évoluent : nouveau ERP, migration cloud, nouvelles dépendances.
• L'organisation change : fusions, acquisitions, nouvelles activités, fermetures de sites.
• Les risques évoluent : nouvelles menaces cyber, nouveaux scénarios, nouveaux fournisseurs critiques.
• La réglementation évolue : NIS2 2024, DORA 2025, futures évolutions...
• Les bonnes pratiques évoluent : nouvelles technologies, nouveaux outils, nouvelles attaques.

L'obsolescence n'est pas une hypothèse : elle est mécanique et cumulative. À chaque départ, chaque migration applicative, chaque changement de prestataire, une ligne du plan devient fausse sans que personne ne le remarque. Concrètement, le jour de la crise, on découvre :

• Que les téléphones d'astreinte ne répondent plus.
• Que les applications listées ne sont plus utilisées.
• Que les sites de secours ne couvrent plus les bonnes activités.
• Que les procédures ne sont plus applicables au SI actuel.

Le MCO doit être :

• Continu : pas un effort ponctuel mais une routine.
• Financé : budget annuel récurrent, idéalement 10-15 % du budget initial du PCA.
• Piloté : un BCM ou équivalent en charge.
• Mesuré : indicateurs suivis en COMEX.
• Audité : interne et externe.

Les audits internes sont une obligation au sens de l'ISO 22301 (clause 9.2) et un excellent outil de pilotage. Caractéristiques :

• Réalisés par des auditeurs internes qualifiés (formation auditeur ISO 22301 souhaitable) — différents des opérationnels qu'ils auditent.
• Périmètre planifié : tout le SMCA doit être audité au moins une fois par cycle (typiquement 3 ans).
• Programme annuel validé par la direction.
• Méthodologie structurée : entretiens, examen documentaire, tests d'efficacité, sondage.
• Rapport formalisé : non-conformités majeures, mineures, observations, opportunités d'amélioration.
• Suivi des actions correctives jusqu'à clôture.

Points typiques à auditer :

• Existence et actualité de la politique de continuité.
• Cohérence du BIA avec les évolutions de l'organisation.
• Couverture des risques identifiés vs cartographie actuelle.
• Adéquation des procédures de déclenchement.
• Fonctionnement effectif des sauvegardes (tests aléatoires).
• Actualité de l'annuaire d'astreinte.
• Plan de tests réalisé et indicateurs.
• Compétences et formation du personnel clé.
• Indicateurs de pilotage et leur reporting.
• Sécurité physique et logique du PCA lui-même.

Les audits externes sont réalisés par des tierces parties qualifiées. Ils servent plusieurs objectifs :

• Certification ISO 22301 : audit par un organisme de certification accrédité (accréditation COFRAC en France). Audit initial en deux étapes, puis audits de surveillance annuels et recertification tous les 3 ans.
• Audit de sécurité des systèmes d'information : pour les OIV et certains acteurs sensibles, réalisé par un prestataire qualifié par l'ANSSI (qualification PASSI), selon la périodicité fixée par les textes sectoriels.
• Contrôles au titre de DORA : les entités financières relèvent de la supervision de leur autorité compétente, qui peut diligenter des contrôles ; le règlement impose par ailleurs un programme de tests documenté et son évaluation.
• Contrôles NIS2 : les modalités dépendront de la loi française de transposition, non promulguée à ce jour.
• Audit client : grands donneurs d'ordre (industrie, finance, public) auditent leurs fournisseurs critiques.
• Audit fusion-acquisition (M&A) : due diligence sur la résilience d'une cible.
• Audit assurance : exigé par les assureurs cyber pour souscrire ou maintenir la couverture.

Certification ISO 22301 :

• Audit étape 1 : revue documentaire (2-3 jours).
• Audit étape 2 : audit terrain (3-10 jours selon la taille).
• Coût : proportionnel au nombre de sites et d'activités dans le périmètre, auquel s'ajoutent les audits de surveillance annuels. Le coût de préparation interne dépasse presque toujours celui de l'audit lui-même.
• Validité : 3 ans avec audits de surveillance annuels.
• Bénéfices : crédibilité commerciale, accès à des marchés exigeants, et surtout discipline interne — les non-conformités relevées par un auditeur extérieur obtiennent des arbitrages qu'un responsable interne n'obtiendrait pas.

Référentiels privés complémentaires :

• ISO 27001 (Sécurité de l'information) : intégration possible avec ISO 22301.
• ISO 9001 (Qualité) : la plupart des SMCA s'intègrent bien dans un SMQ existant.
• SOC 2 Type II : audit US largement requis par les clients américains.
• HDS (Hébergeurs de Données de Santé) : pour les acteurs santé.
• SecNumCloud : pour les acteurs cloud sensibles.

Le pilotage du PCA repose sur des indicateurs mesurés régulièrement. Catégories d'indicateurs :

Indicateurs de couverture :

• Nombre de processus critiques avec PCA documenté / nombre total.
• Nombre d'applications critiques avec PRA fonctionnel / nombre total.
• % de salariés ayant suivi une formation PCA dans les 12 derniers mois.
• Nombre de sites de secours opérationnels / nombre de sites principaux.

Indicateurs de performance :

• RTO mesuré vs RTO cible lors des tests (% de respect).
• RPO mesuré vs RPO cible lors des tests.
• Délai moyen de mobilisation de la cellule de crise (en minutes).
• Taux de réussite des tests de restauration.
• Délai moyen de détection d'incident.
• MTTR (Mean Time To Recovery) sur incidents réels.

Indicateurs de maintenance :

• Nombre d'exercices réalisés vs planifiés.
• Nombre d'audits internes réalisés.
• Nombre de non-conformités ouvertes / fermées.
• Délai moyen de clôture des actions correctives.
• Date du dernier test de l'annuaire d'astreinte.
• Date de la dernière mise à jour du PCA.

Indicateurs business :

• Pertes financières évitées grâce au PCA (estimées) sur incidents réels.
• Coût total de la fonction PCA / chiffre d'affaires.
• Notation cyber-assurance.
• Score de maturité mesuré avec un référentiel reconnu (échelles de maturité des référentiels de gouvernance des systèmes d'information, niveaux de mise en œuvre du cadre de cybersécurité du NIST).

Ces indicateurs sont :

• Suivis trimestriellement par le BCM.
• Reportés en COMEX annuellement minimum.
• Comparés dans le temps à leurs propres valeurs — une série d'indicateurs suivie sur trois ans est plus instructive qu'une comparaison sectorielle approximative.
• Communiqués aux régulateurs en cas d'obligation (DORA, NIS2).

Le PCA doit être mis à jour régulièrement. Triggers à anticiper :

• Évolution annuelle obligatoire minimum (revue de direction annuelle).
• Changement organisationnel significatif : fusion-acquisition, nouvelle activité, fermeture de site.
• Évolution réglementaire : NIS2 2024, DORA 2025, lois sectorielles.
• Changement majeur du SI : migration cloud, nouvel ERP, nouvelle technologie critique.
• Changement de personnel clé : nouveau PDG, nouveau RSSI, nouveau BCM.
• Suite à un exercice : intégration des RETEX.
• Suite à un incident réel : RETEX et amélioration.
• Nouvelle menace identifiée : nouveau scénario à intégrer.
• Changement de fournisseur critique : nouveau cloud provider, nouveau prestataire IT.

Processus de mise à jour :

1. Identification du besoin par le BCM ou les contributeurs.
2. Analyse d'impact sur le PCA existant.
3. Rédaction des modifications.
4. Revue par les parties prenantes (cellule de crise, métiers, juridique).
5. Validation par le sponsor (COMEX).
6. Versionning du document (numérotation, dates, auteur).
7. Communication aux utilisateurs concernés.
8. Formation si nécessaire.
9. Archivage de la version précédente.

Gestion documentaire :

• Stocker le PCA dans un endroit sécurisé et accessible à plusieurs personnes (pas un seul serveur, redondance).
• Versions papier distribuées aux membres de la cellule de crise.
• Classification : le PCA est confidentiel — limiter sa diffusion.
• Circuit de validation des modifications, avec relecture par un tiers avant publication.
• Traçabilité des modifications (qui a changé quoi, quand, pourquoi).

Le MCO repose sur une gouvernance claire. Voici les rôles typiques dans une organisation mature :

• Sponsor (membre du COMEX) — porte la politique de continuité au plus haut niveau, alloue les budgets, arbitre les conflits.
• Business Continuity Manager (BCM) — pilote opérationnel du SMCA, anime les exercices, suit les indicateurs, prépare les revues.
• Risk Manager — analyse les risques, suit l'évolution des menaces, alimente le BIA.
• RSSI — pilote le volet cybersécurité et le PRA technique.
• DSI — opère le PRA, gère les infrastructures et applications critiques.
• DPO — veille au respect du RGPD, pilote les notifications CNIL.
• Responsables métier — valident les BIA de leurs processus, participent aux exercices.
• Compliance officer — suit les obligations réglementaires (NIS2, DORA, etc.).
• Auditeurs internes — réalisent les audits internes.
• Direction RH — pilote la continuité humaine, la formation et la sensibilisation.
• Direction Communication — pilote la cellule communication.

Comité PCA (parfois appelé Risk Committee ou Continuity Committee) :

• Réunion trimestrielle minimum.
• Composition : BCM (pilote), RSSI, DSI, Risk Manager, DPO, représentants métier.
• Agenda type : revue des indicateurs, plan d'exercices, suivi des non-conformités, évolutions réglementaires, nouvelles menaces, budgets.
• Reporting au COMEX une fois par an minimum.

Le budget du maintien ne se compare pas d'une organisation à l'autre : il dépend du nombre de sites, du niveau d'exigence des RTO et de la part réalisée en interne. La bonne pratique consiste à l'identifier comme une ligne récurrente plutôt qu'à le noyer dans le budget informatique — un poste invisible est un poste arbitré à la première coupe budgétaire.